Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
Uma identidade de espaço de trabalho do Fabric é um principal de serviço gerenciado automaticamente que pode ser associado a um espaço de trabalho do Fabric. Os Espaços de Trabalho do Fabric com uma identidade de espaço de trabalho podem ler ou gravar com segurança em contas do Azure Data Lake Storage Gen2 habilitadas para firewall por meio do acesso confiável ao espaço de trabalho para atalhos do OneLake. Os itens de malha podem usar a identidade ao se conectar a recursos que dão suporte à autenticação do Microsoft Entra. O Fabric usa identidades de workspace para obter tokens do Microsoft Entra sem que o cliente precise gerenciar credenciais.
As identidades de espaço de trabalho podem ser criadas nas configurações de espaço de trabalho de qualquer espaço de trabalho, exceto Meus espaços de trabalho.
Quando você cria uma identidade de espaço de trabalho, o Fabric cria um principal de serviço no Microsoft Entra ID para representar a identidade. Um registro de aplicativo associado também é criado. O Fabric gerencia automaticamente as credenciais associadas às identidades do espaço de trabalho, evitando assim vazamentos de credenciais e tempo de inatividade devido ao tratamento inadequado de credenciais.
Observação
A identidade do espaço de trabalho do Fabric está em disponibilidade geral. Você pode criar uma identidade de espaço de trabalho em qualquer espaço de trabalho, exceto Meu workspace.
Embora as identidades de espaço de trabalho do Fabric compartilhem algumas similaridades com identidades gerenciadas do Azure, seu ciclo de vida, administração e governança são diferentes. O Fabric gerencia o ciclo de vida independente de uma identidade de espaço de trabalho. Você pode opcionalmente associar um espaço de trabalho Fabric a uma identidade. Quando você exclui permanentemente o espaço de trabalho, o Fabric exclui a identidade. O nome da identidade do espaço de trabalho é sempre igual ao nome do espaço de trabalho ao qual ele está associado.
Criar e gerenciar uma identidade de espaço de trabalho
Você deve ser um administrador de espaço de trabalho para poder criar e gerenciar uma identidade de espaço de trabalho. O workspace para o qual você está criando a identidade não pode ser um Meu Workspace.
- Entre no portal do Microsoft Fabric.
- Selecione Workspaces e, em seguida, selecione o workspace para o qual você deseja criar uma identidade de workspace.
- No workspace, selecione o ícone de configurações do Workspace (engrenagem).
- Selecione a guia Identidade do espaço de trabalho.
- Selecione o botão + Identidade do espaço de trabalho.
Quando a identidade do espaço de trabalho tiver sido criada, a guia exibirá os detalhes da identidade do espaço de trabalho e a lista de usuários autorizados.
As seções da configuração de identidade do espaço de trabalho são detalhadas a seguir.
Detalhes da identidade
| Detalhes | Descrição |
|---|---|
| Nome | Nome da identidade do espaço de trabalho. O nome da identidade do espaço de trabalho é igual ao nome do espaço de trabalho. |
| ID | O GUID de identidade do espaço de trabalho. É um identificador exclusivo da identidade. |
| Função | A função de espaço de trabalho atribuída à identidade. |
| Estado | O estado do espaço de trabalho. Valores possíveis: Ativo, Inativo, Excluindo, Inutilizável, Falha, Falha na Exclusão |
Usuários autorizados
Para obter mais informações, consulte Controle de acesso.
Excluir uma identidade de espaço de trabalho
Quando uma identidade é excluída, os itens do Fabric que dependem da identidade do espaço de trabalho para acesso ou autenticação confiáveis do espaço de trabalho são interrompidos. As identidades de espaço de trabalho excluídas não podem ser restauradas.
Observação
Quando você exclui um espaço de trabalho, o Fabric também apaga a identidade do espaço de trabalho, mas não imediatamente. O espaço de trabalho permanece no estado Excluído durante todo o período de retenção do espaço de trabalho, e o Fabric não exclui a identidade do espaço de trabalho até que ele seja excluído permanentemente. Para detalhes, veja Excluindo a identidade.
Se você restaurar o espaço de trabalho depois de excluí-lo, a identidade do espaço de trabalho não será restaurada. Se você deseja que o espaço de trabalho restaurado tenha uma identidade de espaço de trabalho, é necessário criar uma nova.
Como usar a identidade do espaço de trabalho
Atualmente, a identidade do workspace pode ser usada de duas maneiras:
Para autenticação: Para saber como essa identidade aparece como uma opção de autenticação ao conectar atalhos, pipelines, modelos semânticos e fluxos de dados Gen2 (CI/CD) a fontes de dados, consulte Autenticar com a identidade do espaço de trabalho.
Para acesso confiável ao espaço de trabalho: atalhos em um espaço de trabalho que possui uma identidade de espaço de trabalho podem ser usados para acesso confiável a serviços. Para obter mais informações, consulte acesso confiável ao espaço de trabalho.
Segurança, administração e governança da identidade do espaço de trabalho
As seções a seguir descrevem quem pode usar a identidade do espaço de trabalho e como você pode monitorá-la no Microsoft Purview e no Azure.
Controle de acesso
A identidade do espaço de trabalho pode ser criada e excluída pelos administradores do espaço de trabalho. Por padrão, a identidade do espaço de trabalho não recebe nenhuma função de espaço de trabalho.
Aviso
A identidade do workspace é uma entidade de serviço gerenciada automaticamente criada pelos usuários do Fabric. O acesso a essa identidade deve ser cuidadosamente gerenciado e monitorado, pois qualquer indivíduo que tenha acesso à identidade tem permissão para pressupor isso.
A identidade do workspace tem suporte para autenticação para direcionar recursos em conexões. Somente usuários com uma função de administrador, membro ou colaborador no workspace podem configurar a identidade do workspace para autenticação em conexões.
Os administradores de aplicativos ou usuários com funções superiores podem exibir, modificar e excluir a entidade de serviço e o registro de aplicativo associados à identidade do espaço de trabalho no Azure.
Aviso
Modificar ou excluir a entidade de serviço ou o registro de aplicativo no Azure não é recomendado, pois fará com que os itens do Fabric que dependem da identidade do espaço de trabalho parem de funcionar. Essas alterações podem ser revertidas. É suportada a adição de permissões de API para identidades de workspace, permitindo acesso aos recursos de destino. Além disso, siga o princípio de privilégio mínimo ao gerenciar funções de Administrador de Aplicativos. Verifique se somente os usuários apropriados recebem essa função. Para obter mais detalhes, consulte Os Administradores de Aplicativos
Administrar a identidade do espaço de trabalho no Fabric
Administradores do Fabric podem gerenciar as identidades de espaço de trabalho que criam em seu tenant. Use Identidades do Fabric em Configurações, na seção Govern do catálogo OneLake.
- No catálogo OneLake, selecione Governança>Configurações>Identidades do Fabric.
- Selecione uma identidade de espaço de trabalho e, em seguida, selecione Detalhes.
- Na guia Detalhes, você pode exibir informações adicionais relacionadas à identidade do espaço de trabalho.
- Você também pode excluir uma identidade do espaço de trabalho.
Observação
As identidades do espaço de trabalho não podem ser restauradas após a exclusão. Revise as consequências da exclusão de uma identidade de espaço de trabalho descritas em Excluir uma identidade de espaço de trabalho.
Examinar eventos de identidade do espaço de trabalho na Auditoria do Microsoft Purview
Você pode visualizar os eventos de auditoria gerados ao criar e excluir identidades de espaços de trabalho no Auditoria do Microsoft Purview. Para acessar o log:
- Vá para Auditoria do Microsoft Purview.
- No formulário de pesquisa de auditoria exibido, use o campo Atividades - nomes amigáveis para procurar identidade do Fabric e localizar as atividades relacionadas às identidades do espaço de trabalho. Atualmente, as atividades relacionadas a identidades de espaço de trabalho são as seguintes:
- Identidade do Fabric criada para o Workspace
- Identidade do Fabric recuperada para o Workspace
- identidade do Fabric excluída para o espaço de trabalho
- Token de identidade de Fabric recuperado para Workspace
Administrar a identidade do espaço de trabalho no Azure
O aplicativo associado à identidade do espaço de trabalho pode ser exibido em Aplicativos empresariais e Registros de aplicativo no portal do Azure.
Aplicativos empresariais
O aplicativo associado à identidade do espaço de trabalho pode ser visto em Aplicativos empresariais no portal do Azure. O aplicativo Fabric Identity Management é o proprietário de sua configuração.
Aviso
As modificações no aplicativo feitas aqui farão com que a identidade do workspace pare de funcionar e essas alterações podem ser revertidas. É suportada a adição de permissões de API para identidades de workspace, permitindo acesso aos recursos de destino. Além disso, siga o princípio de privilégio mínimo ao gerenciar funções de Administrador de Aplicativos. Verifique se somente os usuários apropriados recebem essa função. Para obter mais detalhes, consulte Os Administradores de Aplicativos
Para exibir os logs de auditoria e os logs de entrada dessa identidade:
- Entre no portal do Azure.
- Navegue até Microsoft Entra ID > Aplicativos empresariais.
- Selecione logs de auditoria ou logs de login, conforme desejado.
Registros de aplicativo
O aplicativo associado à identidade do espaço de trabalho pode ser visto em Registros de aplicativo no portal do Azure. Nenhuma modificação deve ser feita lá, pois isso fará com que a identidade do espaço de trabalho pare de funcionar.
O registro do aplicativo permanece listado enquanto a identidade do espaço de trabalho existir no Fabric, inclusive durante o período de retenção de um espaço de trabalho excluído. Para mais informações, veja Excluindo a identidade.
Cenários avançados
As seções a seguir descrevem cenários envolvendo identidades de espaço de trabalho que podem ocorrer.
Excluir a identidade
A identidade do espaço de trabalho pode ser excluída nas configurações do espaço de trabalho. Quando uma identidade é excluída, os itens do Fabric que dependem da identidade do espaço de trabalho para acesso ou autenticação confiáveis do espaço de trabalho são interrompidos. As identidades de espaço de trabalho excluídas não podem ser restauradas.
O Fabric também exclui a identidade do espaço de trabalho, mas mantém o espaço de trabalho no estado Excluído durante todo o período de retenção do espaço de trabalho, para que um administrador possa restaurá-lo. Durante o período de retenção, o Fabric não desprovisiona a identidade do espaço de trabalho, e seu principal de serviço e registro de aplicativo permanecem visíveis no portal do Azure.
O Fabric remove a identidade do espaço de trabalho quando você exclui permanentemente o espaço de trabalho. Essa exclusão permanente ocorre de uma das seguintes maneiras:
- O período de retenção expira, e uma tarefa em segundo plano exclui permanentemente o espaço de trabalho.
- Um administrador do Fabric exclui permanentemente o espaço de trabalho durante o período de retenção. Para mais informações, veja Excluir permanentemente um espaço de trabalho colaborativo excluído durante o período de retenção.
Depois que a exclusão permanente é iniciada, a identidade do workspace passa para o estado Deleting, e pode levar algum tempo até que a entidade de serviço associada e o registro de aplicativo deixem de aparecer no Microsoft Entra ID.
Se você excluir regularmente espaços de trabalho e recriá-los com o mesmo nome, talvez veja mais de um registro de aplicativo com esse nome no seu locatário enquanto os espaços de trabalho excluídos ainda estiverem dentro do período de retenção. Para remover uma identidade de espaço de trabalho sem esperar o término do período de retenção, use uma das seguintes opções:
- Antes de excluir o espaço de trabalho, exclua a identidade do espaço de trabalho na aba Identidade do Espaço de Trabalho nas configurações do espaço de trabalho.
- Peça a um administrador do Fabric para excluir permanentemente o espaço de trabalho durante o período de retenção.
Aviso
Não exclua o principal de serviço nem o registro do aplicativo da identidade de um espaço de trabalho diretamente no portal do Azure. O Fabric não consegue encontrar o aplicativo quando desprovisiona a identidade, o que provoca erros e pode atrasar a limpeza da identidade do espaço de trabalho.
Se você restaurar o workspace após a exclusão, a identidade do workspace não é restaurada. Se você deseja que o espaço de trabalho restaurado tenha uma identidade de espaço de trabalho, é necessário criar uma nova.
Renomear o espaço de trabalho
Quando um espaço de trabalho é renomeado, a identidade do espaço de trabalho também é renomeada para corresponder ao nome do espaço de trabalho. No entanto, seu aplicativo e entidade de serviço do Microsoft Entra permanecem os mesmos. Observe que pode haver vários objetos de aplicação e de registro de aplicativo com o mesmo nome em um locatário.
Considerações e limitações
Você pode criar uma identidade de espaço de trabalho em qualquer espaço de trabalho, exceto Meu workspace.
Você pode criar e usar uma identidade de espaço de trabalho independentemente da capacidade SKU atribuída ao espaço.
O uso da identidade do espaço de trabalho como credencial em conexões na nuvem tem suporte em qualquer tipo de capacidade.
O acesso confiável ao workspace para contas de armazenamento habilitadas por firewall exige que o workspace seja atribuído a uma capacidade Microsoft Fabric (SKU F) adquirida.
Se você migrar um espaço de trabalho com identidade de espaço para uma capacidade não Fabric, para uma capacidade Fabric sem SKU F ou para uma capacidade de teste, a identidade não é desativada nem deletada, mas itens do Fabric que dependem de acesso confiável ao workspace param de funcionar.
Um padrão de 10.000 identidades de workspace pode ser criado em um locatário. Você também pode especificar seu próprio máximo nas configurações de locatário, que se torna o limite superior para a criação de identidade do Fabric em seu locatário. Para obter mais informações, consulte Definir o número máximo de identidades do Fabric em um locatário.
O Fabric não remove a identidade do workspace quando você exclui o workspace dele. O Fabric só remove isso depois que o espaço de trabalho é deletado permanentemente. Como resultado, seu locatário pode conter mais de um registro de aplicativo com o mesmo nome se você excluir os espaços de trabalho e recriá-los com o mesmo nome. Para mais informações, veja Excluindo a identidade.
Os atalhos do Azure Data Lake Storage Gen2 em um espaço de trabalho que possua uma identidade de espaço de trabalho terão a capacidade de acessar serviços confiáveis.
A identidade do workspace não tem suporte em cenários B2B ou entre locatários.
Solução de problemas com a criação de uma identidade de espaço de trabalho
Se você não puder criar uma identidade de workspace porque o botão de criação está desabilitado, verifique se você tem a função de administrador do workspace.
Se você tiver problemas na primeira vez que criar uma identidade de espaço de trabalho em seu locatário, tente as seguintes etapas:
- Se o estado de identidade do espaço de trabalho for de falha, aguarde uma hora e exclua a identidade.
- Depois que a identidade for excluída, aguarde 5 minutos e crie a identidade novamente.